Przewodnik po ogólnym rozporządzeniu o ochronie danych
W minionym roku kwestie prywatności i ochrony danych ponownie znalazły się w centrum uwagi w coraz bardziej złożonym kontekście technologicznym. W UE toczą się dyskusje na temat potrzeby wprowadzenia „RODO 2.0”, ponieważ chmura obliczeniowa i sztuczna inteligencja niosą ze sobą szereg wyzwań związanych z prywatnością – od modeli wspólnej odpowiedzialności po przetwarzanie danych biometrycznych i wykorzystanie rozpoznawania twarzy.
Czym więc jest RODO, czyli ogólne rozporządzenie o ochronie danych, co obejmuje i czy może dostarczyć odpowiedzi na dzisiejsze wyzwania 12 lat po tym, jak zostało po raz pierwszy opracowane? Przyjrzyjmy się celom i wymaganiom tego rozporządzenia oraz temu, jak można zapewnić zgodność z nim poprzez strategię ochrony danych.
Czym jest RODO?
Rozporządzenie o ochronie danych osobowych ( Ogólne rozporządzenie o ochronie danych (RODO) ) to akt prawny regulujący sposób, w jaki organizacje gromadzą, przechowują, przetwarzają i udostępniają dane osobowe obywateli UE. RODO weszło w życie 25 maja 2018 r. Opiera się ono na art. 8 Karty praw podstawowych Unii Europejskiej dotyczącym ochrony danych osobowych i uznaje „dobrowolną zgodę” za podstawę prawną przetwarzania danych osobowych.
Rozporządzenie to ma na celu ujednolicenie przepisów dotyczących ochrony danych w całej Unii Europejskiej oraz ochronę prawa do prywatności obywateli UE, niezależnie od lokalizacji geograficznej organizacji przetwarzającej dane osobowe.
Główne zasady RODO
Ogólne rozporządzenie o ochronie danych opiera się na 7 kluczowych zasadach, które regulują zgodne z prawem przetwarzanie danych osobowych. Zasady te nie są jedynie wytycznymi, ale są prawnie wiążące i mają kluczowe znaczenie dla zgodności z RODO. Wymagają one od organizacji uwzględnienia kwestii prywatności na każdym etapie przetwarzania danych, od początkowego gromadzenia danych do ich ostatecznego usunięcia lub zniszczenia.
- Zgodność z prawem, uczciwość i przejrzystość. Przetwarzanie danych osobowych musi mieć podstawę prawną, nie może wprowadzać w błąd ani szkodzić osobom, których dane dotyczą, a także musi być jasne i otwarte w stosunku do osób fizycznych w zakresie sposobu wykorzystywania i przetwarzania ich danych.
- Ograniczenie celu . Dane muszą być gromadzone z konkretnych, jasnych, wyraźnych i zgodnych z prawem powodów, a ich wykorzystanie nie może być niezgodne z pierwotnym celem.
- Minimalizacja danych . Gromadzone i przetwarzane dane muszą ograniczać się do tego, co jest niezbędne do osiągnięcia zamierzonego celu.
- Dokładność . Dane osobowe muszą być dokładne i, w razie potrzeby, aktualizowane. Niedokładne dane powinny być niezwłocznie poprawiane lub usuwane.
- Ograniczenie przechowywania . Dane osobowe mogą być przechowywane wyłącznie w formacie umożliwiającym identyfikację osób, których dane dotyczą, przez okres niezbędny do osiągnięcia zamierzonego celu.
- Integralność i poufność (bezpieczeństwo). Przetwarzanie danych osobowych powinno obejmować odpowiednie środki bezpieczeństwa w celu ochrony przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem oraz uszkodzeniem.
- Odpowiedzialność . Organizacje muszą być w stanie stosować niezbędne zasady i procedury w celu zapewnienia zgodności z RODO oraz wykazać, że skutecznie to uczyniły, gdy zostaną o to poproszone.
Definicje i terminologia RODO
Poniżej znajduje się krótki słownik zawierający kluczowe terminy i definicje RODO: Dane osobowe oznaczają wszelkie informacje dotyczące osoby fizycznej, czyli osoby, której dane dotyczą , którą można zidentyfikować bezpośrednio lub pośrednio, na przykład na podstawie imienia i nazwiska, numeru identyfikacyjnego, lokalizacji lub innych identyfikatorów związanych z tożsamością fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną.
Zgoda to każde „dobrowolne, konkretne, świadome i jednoznaczne” oświadczenie osoby, której dane dotyczą , że wyraża zgodę na przetwarzanie swoich danych osobowych w określonym celu.
Administrator danych to osoba fizyczna lub organizacja odpowiedzialna za przestrzeganie zasad RODO oraz określająca cele i sposoby przetwarzania danych osobowych. Jest to strona, z którą powinny kontaktować się osoby, których dane dotyczą , pragnące skorzystać ze swoich praw. Jednakże faktyczne przetwarzanie danych może zostać powierzone innej osobie lub organizacji, czyli podmiotowi przetwarzającemu dane .
Podmiot przetwarzający dane to osoba fizyczna lub organizacja, która przetwarza dane osobowe w imieniu administratora danych . Podmiot ten podlega instrukcjom administratora danych .
Osoba, której dane dotyczą to osoba fizyczna, która wyraża zgodę na przetwarzanie swoich danych osobowych przez administratora danych lub podmiot przetwarzający dane .
Przetwarzanie to każda operacja wykonywana na danych osobowych, taka jak gromadzenie, rejestrowanie, porządkowanie, przechowywanie, zmiana, ujawnianie, rozpowszechnianie, usuwanie i niszczenie, a także inne czynności objęte RODO.
Prawo dostępu to prawo osoby, której dane dotyczą do uzyskania od administratora danych informacji o swoich danych osobowych, sposobie ich przetwarzania, celu przetwarzania itp., bezpłatnie w ciągu 1 miesiąca od otrzymania takiego wniosku.
Wymagania i wyzwania związane z zgodnością z RODO
RODO położyło podwaliny pod solidne standardy ochrony danych. Jednak dynamiczny charakter technologii wprowadza złożoność i coraz bardziej wystawia na próbę podstawowe zasady leżące u podstaw unijnych przepisów dotyczących prywatności.
Kto musi przestrzegać RODO?
W UE. Każda organizacja przetwarzająca dane osobowe osób fizycznych w UE podlega przepisom RODO. Obejmuje to przedsiębiorstwa publiczne i prywatne, rządy, organizacje charytatywne i inne organizacje non-profit.
Poza UE. RODO wykracza poza granice UE i dotyczy każdej organizacji, która dostarcza towary lub usługi obywatelom UE lub śledzi ich zachowania na terenie UE. Oznacza to, że firma z siedzibą w dowolnym miejscu na świecie musi przestrzegać przepisów RODO, jeśli przetwarza dane mieszkańców UE.
Globalne firmy internetowe i technologiczne , w tym platformy mediów społecznościowych, które mają użytkowników w UE, są zobowiązane do przestrzegania przepisów RODO.
Dostawcy technologii i wspólna odpowiedzialność
Wraz z upowszechnieniem się platform SaaS, IaaS, PaaS i innych platform dostarczających zasoby i usługi IT przez Internet, w kwestii zgodności z RODO ważną rolę odgrywają dostawcy technologii i podwykonawcy zajmujący się danymi osobowymi. Jeśli organizacja korzysta z usług/platform stron trzecich do przetwarzania lub przechowywania danych osobowych, dostawcy ci również muszą przestrzegać przepisów RODO.
Należy pamiętać, że większość tych usług opiera się na modelu wspólnej odpowiedzialności, zgodnie z którym:
- Organizacje są odpowiedzialne za swoje dane jako właściciele danych i, w zależności od rodzaju usługi, mogą być odpowiedzialne za aplikacje i/lub systemy operacyjne
- Dostawcy są odpowiedzialni za serwery, magazyny, sieci, fizyczne lokalizacje itp.
Zgodnie z RODO organizacje są odpowiedzialne za uzyskanie zgody i zapewnienie, że dane są wykorzystywane zgodnie z przeznaczeniem. Muszą również zapewnić, że dostawcy, którym powierzają przetwarzanie danych osobowych, robią to zgodnie z rozporządzeniem.
Niektóre z wyzwań związanych z przetwarzaniem danych w chmurze dotyczą:
- potencjalnych wycieków wrażliwych informacji
- kontrolowania przepływu danych między jurysdykcjami
- zapewnienia, że zewnętrzni dostawcy stosują te same zobowiązania dotyczące prywatności, jakie podjęto wobec osób, których dane dotyczą
- skutecznego wdrażania zasad przechowywania danych
- postępowania w przypadku naruszeń danych osobowych
- ogólnego zarządzania ryzykiem
RODO i sztucznej inteligencji
Unijna ustawa o sztucznej inteligencji, pierwsza na świecie ustawa regulująca sztuczną inteligencję, ma wejść w życie w 2025 r., aby sprostać niektórym nowym wyzwaniom związanym z prawem do prywatności obywateli UE. Jednak już dziś ważne jest, aby zrozumieć niektóre wyzwania, przed którymi stoją organizacje wykorzystujące sztuczną inteligencję do przetwarzania danych osobowych:
- Minimalizacja danych i ograniczenie celu. Sztuczna inteligencja stanowi wyzwanie dla administratorów danych, którzy muszą ograniczyć gromadzenie danych do tego, co jest absolutnie niezbędne i służy konkretnemu celowi.
- Transgraniczne przekazywanie danych. Technologie oparte na sztucznej inteligencji i danych często działają ponad granicami. Może to wymagać wprowadzenia bardziej rygorystycznych środków kontroli w celu zapewnienia zgodności z RODO.
- Zautomatyzowane podejmowanie decyzji i profilowanie. Sztuczna inteligencja niesie ze sobą ryzyko podejmowania decyzji bez udziału człowieka w oparciu o przetwarzanie danych osobowych, co obejmuje profilowanie. Takie wykorzystanie danych osobowych podlega bardzo ścisłym ograniczeniom wynikającym z RODO.
Kluczowe wymagania dotyczące zgodności z RODO
Organizacje, które muszą zapewnić zgodność z RODO, powinny wziąć pod uwagę następujące ogólne wymagania:
- Środki ochrony danych . Organizacje muszą wdrożyć solidne rozwiązania i środki ochrony danych, w tym szyfrowanie danych, bezpieczne przechowywanie danych oraz regularne audyty bezpieczeństwa. Obejmuje to również uwzględnienie implikacji RODO przy wdrażaniu nowych technologii, takich jak sztuczna inteligencja, przetwarzanie w chmurze i analiza dużych zbiorów danych.
- Zarządzanie zgodami . Organizacje muszą posiadać jasną politykę w celu uzyskania wyraźnej, świadomej i dobrowolnej zgody przed przetwarzaniem danych osobowych. Obejmuje to również posiadanie jasnych mechanizmów zarządzania cyklem życia danych osobowych.
- Rejestry przetwarzania danych . Prowadzenie szczegółowych rejestrów czynności związanych z przetwarzaniem danych jest obowiązkowe i ma na celu wykazanie, jakie dane są gromadzone, w jakim celu oraz w jaki sposób są przetwarzane i chronione.
- Inspektor ochrony danych . Niektóre rodzaje organizacji mogą być zobowiązane do wyznaczenia inspektora ochrony danych w celu nadzorowania zgodności z RODO, zwłaszcza jeśli pracują z danymi wrażliwymi przetwarzanymi na dużą skalę.
Jak spełnić wymagania RODO
Spełnienie wymagań RODO nie jest jednorazowym wysiłkiem, ale ciągłym procesem oceny i monitorowania. Organizacje muszą wdrożyć kompleksowy zestaw środków obejmujących przetwarzanie danych osobowych, ochronę danych i odzyskiwanie danych oraz bezpieczeństwo:
- Zrozumienie i mapowanie danych . Przeprowadź dokładny audyt, aby zrozumieć, jakie dane osobowe są gromadzone, dlaczego są gromadzone, w jaki sposób są przetwarzane, gdzie są przechowywane i w jaki sposób są udostępniane. Stwórz mapę przepływu danych, aby śledzić drogę danych osobowych w organizacji. Pomoże to zidentyfikować obszary ryzyka.
- Zapewnij podstawę prawną przetwarzania . Określ podstawę prawną przetwarzania danych osobowych, taką jak zgoda, umowa, obowiązek prawny, interesy żywotne, zadanie publiczne lub uzasadnione interesy. W przypadku oparcia się na zgodzie należy upewnić się, że jest ona „dobrowolna, konkretna, świadoma i jednoznaczna”. Mechanizmy uzyskiwania zgody powinny być łatwe do zrozumienia i zapewniać możliwość łatwego wycofania zgody.
- Wdrożenie zasad ochrony danych . Należy opracować lub zaktualizować wewnętrzne zasady ochrony danych i procedury w celu zapewnienia zgodności z RODO. Należy włączyć ochronę danych w fazie projektowania i domyślnie do wszystkich procesów biznesowych, systemów i usług, które dotyczą danych osobowych.
- Ograniczenie przetwarzania danych. Należy zapewnić, aby przetwarzane były wyłącznie dane niezbędne do każdego konkretnego celu, a dostęp do danych osobowych był ograniczony do osób, które ich potrzebują.
- Przechowywanie danych. RODO wymaga od organizacji krytycznej oceny i zarządzania okresem przechowywania danych osobowych, zapewniając, że dane nie są przechowywane dłużej niż to konieczne. Wymaga to proaktywnego podejścia do zarządzania danymi, obejmującego jasne zasady, regularne przeglądy oraz skuteczne procesy usuwania lub anonimizacji danych, przy jednoczesnym zachowaniu równowagi między zgodnością z RODO a innymi wymogami prawnymi dotyczącymi przechowywania danych.
- Ułatwianie realizacji praw osób, których dane dotyczą . Należy ustanowić procedury uwzględniające prawa osób, których dane dotyczą, w tym wnioski o dostęp do danych, ich sprostowanie, usunięcie, przenoszenie oraz sprzeciw wobec przetwarzania.
- Planowanie działań w odpowiedzi na naruszenie ochrony danych oraz środków sprawozdawczych . Należy stworzyć i wdrożyć solidny plan reagowania na incydenty, obejmujący plan reagowania na naruszenie ochrony danych. Należy być przygotowanym do powiadomienia odpowiedniego organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia danych, a w niektórych przypadkach również do powiadomienia osób, których dane dotyczą.
- Należy sprawdzić zgodność z przepisami w zakresie zarządzania dostawcami i podmiotami przetwarzającymi dane . Należy upewnić się, że wszyscy zewnętrzni dostawcy lub podmioty przetwarzające dane, które zajmują się danymi osobowymi w Państwa organizacji, również przestrzegają przepisów RODO.
- Należy przeprowadzać ciągłą ocenę . Regularnie przeprowadzaj audyty działań w zakresie przetwarzania danych i przeglądaj polityki, aby zapewnić stałą zgodność z RODO.
- Zwróć uwagę na transfery międzynarodowe . W przypadku przekazywania danych poza EOG upewnij się, że wdrożono odpowiednie środki ochrony, w tym standardowe klauzule umowne (SCC) lub przestrzeganie decyzji Komisji Europejskiej w sprawie adekwatności.
- Prowadź rejestry i dokumentację . Należy prowadzić wyczerpującą dokumentację czynności związanych z przetwarzaniem danych, w tym cel przetwarzania, kategorie danych oraz odbiorców danych.
RODO i ochrona danych
W zakresie tworzenia kopii zapasowych danych i odzyskiwania danych po awarii organizacje muszą wdrożyć bezpieczne procesy tworzenia kopii zapasowych w celu ochrony danych osobowych i zapewnienia Zgodność z RODO. Obejmuje to wdrażanie ochrona danych oraz rozwiązań do odzyskiwania danych po awarii, które zawierają następujące funkcje:
- Szyfrowanie danych kopii zapasowych w repozytorium (podczas przechowywania) oraz podczas przesyłania (w trakcie transferu). Wybierz rozwiązania, które pozwalają wdrożyć silne standardy szyfrowania, aby dane z wykonanych kopii zapasowych były nieczytelne dla osób nieuprawnionych, nawet w przypadku naruszenie bezpieczeństwa.
- Kontrola dostępu i uwierzytelnianie . Skonfiguruj kontrolę dostępu na podstawie ról (RBAC), aby ograniczyć dostęp do danych osobowych, oraz uwierzytelnianie wieloskładnikowe (MFA), aby zwiększyć bezpieczeństwo przed przyznaniem dostępu.
- Minimalizacja danych i ograniczenie przechowywania . Jedną z podstawowych zasad ogólnego rozporządzenia o ochronie danych jest ograniczenie przechowywania, co ma bezpośredni wpływ na zasady przechowywania kopii zapasowych. Należy upewnić się, że rozwiązania do tworzenia kopii zapasowych oferują wystarczającą elastyczność, aby tworzyć różne harmonogramy i zasady przechowywania dla różnych poziomów danych.
- Lokalizacja danych kopii zapasowych w magazynie-chmura. Należy wiedzieć, gdzie przechowywane są dane kopii zapasowych, i wybierać regiony w oparciu o rodzaj przetwarzanych danych osobowych.
- Regularne kontrole integralności danych kopii zapasowych . Należy regularnie tworzyć kopie zapasowe, aby zapewnić integralność danych osobowych, oraz wdrożyć środki do testowania odzyskiwania danych.
- Zarządzanie dostawcami i podmiotami zewnętrznymi / zgodność z przepisami . Upewnij się, że zewnętrzne platformy przechowywania danych i inne platformy zintegrowane z Twoim rozwiązaniem do tworzenia kopii zapasowych oferują odpowiedni zakres funkcji, abyś miał kontrolę nad tym, jak i gdzie dane są przechowywane.
Ochrona danych z NAKIVO
NAKIVO Backup & Replication to rozwiązanie do ochrony danych oferujące odpowiednie połączenie funkcji tworzenia kopii zapasowych, odzyskiwania awaryjnego i zabezpieczeń, które może wdrożyć każda organizacja przetwarzająca dane osobowe. Możesz chronić aplikacje i systemy w środowiskach wirtualnych, fizycznych, chmurowych i SaaS oraz zachować zgodność z wymogami RODO, korzystając z funkcji takich jak szyfrowanie danych w spoczynku i podczas przesyłania, planowanie i automatyzacja tworzenia kopii zapasowych, elastyczne ustawienia przechowywania, weryfikacja kopii zapasowych itp.
